Нужен ли clamav, если доступы до vps с сайтом хорошо закрыты firewall и доступ туда есть только по ssh-ключу?

Если сайт чисто статика и никто кроме тебя не заливает файлы — то clamav там по сути не нужен, firewall'а и ключей хватает. Но если разрешаешь юзерам загрузки или ставишь всякие вордпрессы с плагинами из левых источников, то лучше держать, а то мало ли — заразу можно и через дыру в веб-приложении подцепить, несмотря на ssh и фаервол.